Le Wi-Fi d'un café ou d'un hôtel est le scénario où un VPN apporte le plus. Encore faut-il savoir ce qui est réellement en jeu — le danger est souvent mal décrit.
Se connecter à un réseau Wi-Fi ouvert avec un Mac est présenté comme dangereux, et un VPN comme la parade. C'est en partie vrai, mais le risque a beaucoup changé, et une partie du discours date d'une époque où le web n'était pas chiffré. Cette page fait le point sur ce qu'un tiers peut réellement observer, ce que macOS gère déjà, et les cas où le VPN reste utile. Elle complète la vue d'ensemble sur le VPN pour Mac en se concentrant sur ce seul scénario.
Sur un Wi-Fi ouvert, une personne équipée peut capturer les paquets qui circulent. Ce qu'elle en tire dépend du chiffrement :
Autrement dit : l'idée qu'on « lit vos mots de passe sur le Wi-Fi du café » est largement dépassée pour les sites correctement configurés. Ce qui fuit, ce sont les métadonnées — qui visite quoi, quand, combien — et ce n'est pas rien. Recoupées, elles révèlent votre banque, vos administrations, vos sujets de recherche, l'application de messagerie que vous ouvrez le plus souvent.
Plusieurs protections sont actives sans rien installer. La montée en charge de HTTPS et du mécanisme HSTS force le chiffrement sur un nombre croissant de sites. Le relais privé iCloud, pour les abonnés iCloud+, masque l'adresse IP et chiffre la résolution DNS dans Safari. macOS affiche un avertissement « Sécurité faible » sur les réseaux utilisant un chiffrement obsolète, et attribue par défaut une adresse Wi-Fi privée (identifiant matériel aléatoire) pour limiter le pistage d'un appareil d'un réseau à l'autre.
À cela s'ajoute la possibilité d'activer le DNS privé chiffré au niveau du système, qui empêche l'opérateur du réseau de lire les requêtes de résolution — une des principales fuites de métadonnées sur un Wi-Fi public. Ces mécanismes ne rendent pas le VPN inutile, mais ils réduisent nettement l'écart entre « connecté sans VPN » et « connecté avec VPN » pour un usage de navigation ordinaire. L'écart redevient significatif dès qu'on quitte Safari, qu'on utilise des applications tierces, ou qu'on veut masquer entièrement la liste des services contactés.
Le procédé est simple et ne demande pas de matériel rare. L'attaquant diffuse un réseau portant le nom d'un réseau légitime fréquenté par la cible — celui d'une chaîne de cafés, d'un aéroport, d'un hôtel. Les appareils qui ont déjà mémorisé ce nom peuvent s'y connecter automatiquement, en préférant parfois le signal le plus fort. Une fois l'appareil connecté, tout son trafic transite par la machine de l'attaquant, qui peut observer les métadonnées, tenter de rediriger vers de fausses pages, ou présenter des certificats invalides en espérant que l'utilisateur les accepte. La défense de fond est de ne pas se connecter automatiquement aux réseaux ouverts et de se méfier d'un avertissement de certificat ; un VPN, en rendant le trafic illisible et en validant lui-même son serveur, retire l'essentiel de l'intérêt de l'attaque.
Tous les réseaux qui ne sont pas les vôtres ne se valent pas. Un réseau d'entreprise ou de coworking avec authentification individuelle est généralement mieux tenu qu'un Wi-Fi ouvert de commerce, mais l'opérateur du réseau — l'employeur, l'espace partagé, l'établissement — voit alors le même type de métadonnées qu'un fournisseur d'accès, et peut appliquer un filtrage. Si la confidentialité vis-à-vis de cet opérateur compte, un VPN commercial la restaure, à condition qu'il soit autorisé par la charte du lieu. Sur un réseau d'employeur, en revanche, activer un VPN personnel pour se soustraire à la supervision peut contrevenir au règlement intérieur : la question se pose en amont, pas seulement sur le plan technique.
Un VPN correctement configuré chiffre tout le trafic entre le Mac et son serveur, y compris les requêtes DNS et le nom de domaine transmis en début de connexion. L'opérateur du réseau ne voit alors plus qu'un flux chiffré uniforme vers une seule adresse. Concrètement, sur un Wi-Fi public :
Le portail captif doit être franchi avant que le VPN monte : il existe toujours une courte fenêtre d'exposition à l'ouverture. Le VPN ne protège pas non plus contre un site d'hameçonnage, contre un fichier malveillant téléchargé volontairement, ni contre un Mac déjà compromis. Il agit sur le transport, pas sur le contenu ni sur la machine.
Le Wi-Fi public est le meilleur argument d'un VPN, mais pas pour la raison qu'on avance d'habitude : les mots de passe sont déjà protégés par le chiffrement des sites. Le vrai apport est ailleurs — masquer la liste des domaines visités à l'opérateur du réseau, et rendre inoffensifs les réseaux piégés. Cet usage nomade est aussi celui qui justifie le mieux la dépense, comme le détaille la page sur le prix d'un abonnement, et il suppose de faire confiance à l'opérateur du VPN plutôt qu'à celui du réseau, sujet traité dans la page sur ce que voit un fournisseur d'accès.